Neue Secure Boot Zertifikate Lenovo sagt JA ?

Chri5 · 12 Feb. 2026

Hallo zusammen,

meine Hardware:

ThinkPad T14 Gen1 AMD
1x AMD Ryzen 7 PRO 4750U Processor(Ryzen 7 PRO 4750U)
1x AMD Radeon Graphics
16GB RAM
1x 256GBPCIeNVMeOP

Auf meinem T14 Gen 1 sind noch die alten Secure Boot Zertifikate.
Eine Suche auf der Hersteller Seite ergab, dass Lenovo jedoch auch die ältere Generation bis zu bestimmen Modellreihen mit den neuen Zertifikaten unterstützen möchte....zumindest lese ich das so heraus ;-)

Folgende Info von Lenovo:

Ablauf des Microsoft Secure Boot-Zertifikats 2011 – Lenovo Commercial PCs

Bitte die Seite auf englische darstellen lassen, da in der übersetzten deutschen Seite keine Liste der Modell Reihe angezeigt wird.

Wie man dort sehen kann, wird die T14 Gen1 Reihe für AMD und INTEL mit einem BIOS bedacht, welches die neuen Zertifikate für KEK CA 2011, PCA 2011 und CA 2011 einspielen soll.

In meinem Fall:

T14 Gen 1 AMD

20UD, 20UE

R1BET85W (v1.54)

Kurioserweise zeigt der Link zur v1.54 jedoch nur alle Versionen bis 1.53 an:

Verlinkte BIOS Versionen für das Modell

Eine 1.54 wird auf der Produktseite nirgendwo erwähnt.

Die Frage ist nun, warum teilt Lenovo auf der Seite zum Thema Secure Boot Zertifikat, für die T14er Reihe eine BIOS in Version 1.54 mit, aber gibt für diese auf der verlinkten Produktseite keine genaueren Infos zum Stand?

Soll das nun noch etwas kommen oder bleibt die T14er Reihe hier außen vor ?

Was passiert eigentlich mit den Windows Installationen, die mit Secure Boot unter den alten Zertifikaten erstellt wurden ab Juli 26?

Habt ihr zum erwähnten 1.54 Update irgendwelche Infos?

Danke im Voraus.

bodu · 13 Feb. 2026

Chri5 schrieb:
Was passiert eigentlich mit den Windows Installationen, die mit Secure Boot unter den alten Zertifikaten erstellt wurden ab Juli 26?

Ohne Updates bootet Windows mit den alten Zertifikaten, bringt dann keinen neuen Bootloader mehr.

Jedoch Windows Update verteilt aktuell die CA 2023 im aktiven KEK, DB, setzt CA 2023 Bootloader, CA 2011 in dbx und setzt SVN.
Bis Juli 26 wird der T14 die Updates bekommen.

Das Bios Update setzt die Standard KEK, DB, bei einem reset werden die in die aktiven KEK und DB übernommen. Das Update wird wohl noch kommen, aktuell nicht zwingend benötigt.

Mornsgrans · 13 Feb. 2026

Chri5 schrieb:
Habt ihr zum erwähnten 1.54 Update irgendwelche Infos?

Wenn es nicht mehr existiert, wurde es zurückgezogen. Also bleibt 1.53 erst einmal das letzte.

AFAIK werden die Zertifikate auch mit Windows Updates ausgerollt.

Herr Moehre · 13 Feb. 2026

Ansonsten einfach händisch ausrollen unter Windows 11, ist eine Sache von unter 5 Minuten

Es gibt ja manchmal Gründe gegen BIOS Updates, zum Beispiel die thermische Drosselung beim L14/15 Gen 1 AMD

linrunner · 13 Feb. 2026

Hier mal den Lösungspost anschauen:

T

Linux Beitrag im Thema 'Thinkpad T14 Gen 3 AMD (Type 21CF, 21CG) Secure Boot-Zertifikate fehlen'

29 Jan. 2026

Hallo zusammen

Hab es geschafft und die 2023 Secure Boot Zertifikate sind eingetragen.

Einmal Bios starten:
Reset to Factory Defaults in BIOS setup.
Restore the Factory Keys in the Secure Boot menu of BIOS setup.

Danach waren die Zertifikate eingetragen, ein weiteres Windows Update oder Lenovo Vantage war nicht nötig.
Na dann, besten Dank noch für eure Unterstützung. Bin froh, dass es nun geklappt hat.

Herr Moehre · 13 Feb. 2026

Ich habe es so gelöst (unter Windows):

https://thinkpad-forum.de/threads/3...-qwertz-bl-super-zustand.245835/#post-2465983

bodu · 13 Feb. 2026

Manuell kann auch HYLMA\SYSTEM\CurrentControlSet\Control\SecureBoot\AvailableUpdates 0x5944 gesetzt werden.

Registry key updates for Secure Boot: Windows devices with IT-managed updates - Microsoft Support

support.microsoft.com

Secure Boot Certificate updates: Guidance for IT professionals and organizations - Microsoft Support

support.microsoft.com

LungeeLuke · 14 Feb. 2026

Falls noch nicht bekannt, hier ein Script wo sich die Zertifikate prüfen lassen:

GitHub - cjee21/Check-UEFISecureBootVariables: PowerShell scripts to check the UEFI KEK, DB and DBX Secure Boot variables as well as scripts for other Secure Boot related items.

PowerShell scripts to check the UEFI KEK, DB and DBX Secure Boot variables as well as scripts for other Secure Boot related items. - cjee21/Check-UEFISecureBootVariables

github.com

Chri5 · 14 Feb. 2026

Guten Morgen zusammen,

vielen lieben Dank für Euer Feedback.

bodu schrieb:
Ohne Updates bootet Windows mit den alten Zertifikaten, bringt dann keinen neuen Bootloader mehr.

Jedoch Windows Update verteilt aktuell die CA 2023 im aktiven KEK, DB, setzt CA 2023 Bootloader, CA 2011 in dbx und setzt SVN.
Bis Juli 26 wird der T14 die Updates bekommen.

Das Bios Update setzt die Standard KEK, DB, bei einem reset werden die in die aktiven KEK und DB übernommen. Das Update wird wohl noch kommen, aktuell nicht zwingend benötigt.

Stimmt, laut Microsoft sollen die bsiherigen Systeme auch weiterhin laufen aber:

"...

Das Gerät wechselt laut Microsoft in einen eingeschränkten Sicherheitszustand, der seine Fähigkeit zum Empfang künftiger Schutzmaßnahmen auf Boot-Ebene einschränkt.
Im Laufe der Zeit könne dies auch zu Kompatibilitätsproblemen führen, da neuere Betriebssysteme, Firmware, Hardware oder Secure Boot-abhängige Software möglicherweise nicht mehr geladen werden können. "

Wäre also wenn man nicht eingreift oder es zur Verfügung gestellt wird.....nur ein halbgares Gericht.

Da der Zeitpunkt im Juni aber bereits startet, halte ich es jetzt im Februar für ältere System aber schon bedenklich.
Allein wenn man bedenkt wie viele System dafür noch nicht "umsorgt" wurden.
Weiterhin ist es nicht möglich sämtliche MB über den Windows Patch zu aktualisieren. Bei einigen funktioniert es bei anderen muss zwingend wein BIOS Update vom Hersteller erfolgen.

Mornsgrans schrieb:
Wenn es nicht mehr existiert, wurde es zurückgezogen. Also bleibt 1.53 erst einmal das letzte.

AFAIK werden die Zertifikate auch mit Windows Updates ausgerollt.

Ich glaube kaum das es bereits das Update gab!
Ich habe noch ein wenig die Hoffnung das es noch kommen soll...aber dann bitte Lenovo...einen Update Status hinterlegen.
Das Thema ist nun mal nicht so trivial.

JAEIN.... nicht jedes MB kann über das Windows Update aktualisiert werden,
Windows hat nicht überall Schreibrechte.
Hier müssen die Hersteller des Boards mit ziehen.

Herr Moehre schrieb:
Ansonsten einfach händisch ausrollen unter Windows 11, ist eine Sache von unter 5 Minuten

Es gibt ja manchmal Gründe gegen BIOS Updates, zum Beispiel die thermische Drosselung beim L14/15 Gen 1 AMD

Wenn man ganz genau weiß WIE, bestimmt schnell erledigt. Ich selbst habe in meinen ganzen Jahren gerade DIESE Zertifikate noch nie aktualisiert. Das entspricht garantiert 90% der Anwender.
Zumal auch hier mein oben erwähnter Hinweis beachtet werden sollte.... funktioniert nicht mit jedem Motherboard.

linrunner schrieb:
Hier mal den Lösungspost anschauen:

T

Linux Beitrag im Thema 'Thinkpad T14 Gen 3 AMD (Type 21CF, 21CG) Secure Boot-Zertifikate fehlen'

29 Jan. 2026

Hallo zusammen

Hab es geschafft und die 2023 Secure Boot Zertifikate sind eingetragen.

Einmal Bios starten:
Reset to Factory Defaults in BIOS setup.
Restore the Factory Keys in the Secure Boot menu of BIOS setup.

Danach waren die Zertifikate eingetragen, ein weiteres Windows Update oder Lenovo Vantage war nicht nötig.
Na dann, besten Dank noch für eure Unterstützung. Bin froh, dass es nun geklappt hat.

Thinkdude

Hatte ich auch schon gelesen aber hierbei was das Problem anders gelagert.
Der TE hatte seine Zertifikate nicht mehr im BIOS in der Übersicht.
War bei mir nach einer versuchten Aktualisierung auch der Fall.
Mit seinem HowTo konnte ich meine auch wieder einsehen.
Hier war es aber nicht so, dass er die 2011er gegen die 2023iger ausgetauscht hatte.

Ich hatte im Born Blog noch folgendes gefunden:

so als Einstieg:

if(!(Get-Module -ListAvailable -Name 'UEFIv2')){
Install-Module 'UEFIv2' -scope CurrentUser -Force -Confirm:$false
}
Import-Module -Name UEFIv2

und dann schauen ob die neuen verfügbar sind:

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbdefault).bytes) -match 'Windows UEFI CA 2023')
([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

Ergebnis ist true oder false, wenn noch nichts da ist. Ich hatte noch diesen Registry-Eintrag gemacht:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

Hab es aber selbst noch nicht ausprobiert weil mir das noch nicht so geheuer ist.
Zumal das auch auf Windows Ebene ausgerollt wird und ich nicht weiß, ob bei den Lenovo Boards das UEFI Bios oder hier auch das Windows Update ausreicht.
Find es etwas ärgerlich das der Hersteller zu diesem brisanten Thema nicht eine eindeutige Wiki Seite erstellt.

Herr Moehre schrieb:
Ich habe es so gelöst (unter Windows):

https://thinkpad-forum.de/threads/3...-qwertz-bl-super-zustand.245835/#post-2465983

Das sieht recht übersichtlich aus...ging ohne Probleme?? Zieht er sie Zertifikate online oder müssen diese in einem bestimmten Pfad hinterlegt werden?
Gibt es zuvor eine Test Abfrage die nachsieht, ob Zertifikate für das Modell verfügbar sind? Ich frag nur weil Du ja ein FM L14 Gen 1 hast.

bodu schrieb:
Manuell kann auch HYLMA\SYSTEM\CurrentControlSet\Control\SecureBoot\AvailableUpdates 0x5944 gesetzt werden.

Registry key updates for Secure Boot: Windows devices with IT-managed updates - Microsoft Support

support.microsoft.com

Secure Boot Certificate updates: Guidance for IT professionals and organizations - Microsoft Support

support.microsoft.com

Werden die Keys zur Prüfung hinterlegt und wird damit ein kommendes Update gepusht? oder wird mit dem Eintrag die Keys geladen und im Hintergrund installiert?
Wie ist hier der Ablauf?

LungeeLuke schrieb:
Falls noch nicht bekannt, hier ein Script wo sich die Zertifikate prüfen lassen:

GitHub - cjee21/Check-UEFISecureBootVariables: PowerShell scripts to check the UEFI KEK, DB and DBX Secure Boot variables as well as scripts for other Secure Boot related items.

PowerShell scripts to check the UEFI KEK, DB and DBX Secure Boot variables as well as scripts for other Secure Boot related items. - cjee21/Check-UEFISecureBootVariables

github.com

Vielen Dank für den Hinweis.

Mit GitHub ( ja es steh eigentlich unter Microsoft seiner Fuchtel ;-) )bin ich die letzten Tage etwas vorsichtig geworden seit dem Vorfall mit Notepad++ ;-)
Wobei hier der Fehler eher beim Entwickler lag. Jedoch wurde auf GitHub auch nicht kontrolliert ob Sicherheit relevante Infos offen liegen oder nicht.
Hat das Skript schon hier jemand erfolgreich getestet ?

Kann man in Summe aber bereits sagen, das in diesem Fall die Lenovo Bios Zertifikate definitiv über Windows aktualisiert werden können?....mit dem Fokus darauf, das es explizit nicht bei jedem Hersteller so funktioniert.

bodu · 14 Feb. 2026

Chri5 schrieb:
Da der Zeitpunkt im Juni aber bereits startet, halte ich es jetzt im Februar für ältere System aber schon bedenklich.
Allein wenn man bedenkt wie viele System dafür noch nicht "umsorgt" Dwurden.
Weiterhin ist es nicht möglich sämtliche MB über den Windows Patch zu aktualisieren. Bei einigen funktioniert es bei anderen muss zwingend wein BIOS Update vom Hersteller erfolgen.

Ja zeitlich ist das Thema spannend.

Im Hintergrund ist in den letzten Jahren einiges passiert, hier gibt es von OEM signierte KEK Zertifikate.

secureboot_objects/PostSignedObjects/KEK at main · microsoft/secureboot_objects

Secure boot objects recommended by Microsoft. Contribute to microsoft/secureboot_objects development by creating an account on GitHub.

github.com

Die Sammlung sollte bei einem aktuell gepflegtem Windows unter "C:\Windows\System32\SecureBootUpdates\KEKUpdateCombined.bin" vorhanden sein.

Z.B. ein T530 bekommt ein KEK Update, Lenovo signierte die KEK Signatur mit dem Lenovo passenden PK, für ein Gerät von 2012.

Chri5 schrieb:
Ich glaube kaum das es bereits das Update gab!

Schaue bei dir nach.
Die default stammt vom BIOS, wird eher noch nicht CA 2023 enthalten, die aktive DB kann bereits CA 2023 enthalten.

Code:

Standarddatenbanken default - ein UEFI Update kann das hinzufügen 
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEKdefault).bytes) -match 'Microsoft Corporation KEK CA 2011'
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEKdefault).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI DBdefault).bytes) -match 'Microsoft Windows Production PCA 2011'
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI DBdefault).bytes) -match 'Windows UEFI CA 2023'
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI DBdefault).bytes) -match 'Microsoft UEFI CA 2023'
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI DBdefault).bytes) -match 'Microsoft Option ROM UEFI CA 2023'

Aktive Datenbanken KEK DB - beim booten verwendet
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).Bytes) -match 'Microsoft Corporation KEK CA 2011'
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).Bytes) -match 'Microsoft Corporation KEK 2K CA 2023'
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI DB).Bytes) -match 'Microsoft Windows Production PCA 2011'
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI DB).Bytes) -match 'Windows UEFI CA 2023'
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI DB).bytes) -match 'Microsoft UEFI CA 2023'
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI DB).bytes) -match 'Microsoft Option ROM UEFI CA 2023'

gesperrt
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI DBx).Bytes) -match 'Microsoft Windows Production PCA 2011'

Zum booten ist db 'Windows UEFI CA 2023' interessant.

B.T.W. Es gibt draussen bereits gepatchte Geräte, ohne dass die Benutzer davon etwas merkten.

Chri5 schrieb:
nicht jedes MB kann über das Windows Update aktualisiert werden

Richtig.
Jedoch hier im Forum denke ich an erster Linie an Thinkpads, ein Hersteller der die KEK siginierte.
Spezialfälle mit zweifelhaften MB mit nicht gepflegten MB erfordern Speziallösungen, z.B. ein persönlicher PK.

Chri5 schrieb:
Werden die Keys zur Prüfung hinterlegt und wird damit ein kommendes Update gepusht? oder wird mit dem Eintrag die Keys geladen und im Hintergrund installiert?
Wie ist hier der Ablauf?

Ein Flag für den Updateprozess wird gestartet und in mehreren Schritten abgehandelt. Lese den Abschnitt Secure Boot certificate deployment support https://support.microsoft.com/en-us...e2b43f9f-b424-42df-bc6a-8476db65ab2f#ID0EDBBH

Chri5 schrieb:
Kann man in Summe aber bereits sagen, das in diesem Fall die Lenovo Bios Zertifikate definitiv über Windows aktualisiert werden können?

Definitv ist selbstverständlich nichts. Lenovo Thinkpads scheinen von Lenvo gepflegt zu sein, mimium in CA2023 KEK wurde von Lenovo signiert.
Backup und Bitlockerwierherstellungschlüssel und los gehts.

Mornsgrans · 14 Feb. 2026

Chri5 schrieb:
Wie man dort sehen kann, wird die T14 Gen1 Reihe für AMD und INTEL mit einem BIOS bedacht, welches die neuen Zertifikate für KEK CA 2011, PCA 2011 und CA 2011 einspielen soll.

In meinem Fall:

T14 Gen 1 AMD 20UD, 20UE R1BET85W (v1.54)

Kurioserweise zeigt der Link zur v1.54 jedoch nur alle Versionen bis 1.53 an:

bodu schrieb:
Jedoch Windows Update verteilt aktuell die CA 2023 im aktiven KEK, DB, setzt CA 2023 Bootloader, CA 2011 in dbx und setzt SVN.
Bis Juli 26 wird der T14 die Updates bekommen.

Die README zum BIOS 1.53:

<R1BUJ84W>
UEFI: 1.53 / ECP: 1.53
- [Important] Enhancement to address security vulnerability, LEN-182880, LEN-167098.
- [Important] Update dbx signature list.

Da müssten doch die Zertifikate schon im November 25 ergänzt worden sein.
Beim T14 Gen 1 (Intel) findet sich hingegen kein diesbezüglicher Euntrag in der README - auch nicht bei älteren BIOS-Versionen des vergangenen Jahres.

Bin jetzt etwas verwirrt, da es in der Standarddatenbank vorhanden ist - was auch immer das bedeuten mag:

aber:

bodu · 14 Feb. 2026

Die README zum BIOS 1.53: Update dbx signature list.

Mornsgrans schrieb:
Da müssten doch die Zertifikate schon im November 25 ergänzt worden sein.

Die dbx beschreibt die Sperrliste zurückgezogener Bootloader. Die dbx enthält keine Zertifikate.
Ein früheres BIOS Update oder das 1.53 kann Zertifikate enthalten, wird aus der readme nicht Eineindeutig ersichtlich.

Mornsgrans schrieb:
Bin jetzt etwas verwirrt, da es in der Standarddatenbank vorhanden ist - was auch immer das

Es gibt zwei Tabellenlisten.
Einmal auf OEM Herstellerseite, das ist eine Grundeinstellung/Backup. Ein UEFI Update ändert diese: KEKdefault, DBdefault, DBXdeault
Und eine aktiv genutzte Tabllenliste im täglichen Gebrauch: KEK, DB, DBX

Ein UEFI Update ändert KEKdefault, DBdefault, DBXdeault, und läßt die KEK, DB, DBX unverändert.
Eine außergewöhnliche Änderung KEK, DB, DBX kann eine Bitlockerwiederherstellung erfordern, das wird bei einem BIOS Update vermieden.

Die Werte von KEKdefault, DBdefault, DBXdeault können vom Benutzer in KEK, DB, DBX übernommen werden:
UEFI: 'Restore the Factory Keys': die KEKdefault, DBdefault, DBXdeault Werte werden nach KEK, DB, DBX gespiegelt
Dabei ist der Benutzer für die Daten auf der 'Festplattte' verantwortlich.

Oder das Betriebsystem/bzw. der Benutzer schreibt in KEK, DB, DBX und berücksichtigt dabei eine bitlockerverschlüsselte Festplatte.

Gegeben ein UEFI mit CA 2011 und CA 2023: nach 'Restore the Factory Keys' können CA 2011 und CA 2023 Medien gebootet werden.
Von da aus kann wieder ein definierter Zustand erstellt werden (z.B. nur CA 2023 erlaubt)

Mornsgrans · 14 Feb. 2026

Das ist mir alles zu hoch und kompliziert. - Ich will einfach nur, dass es ab Juni funktioniert.

Wie kann ich jetzt feststellen, ob das neue Bootzertifikat installiert ist?

bodu · 14 Feb. 2026

Mornsgrans schrieb:
Ich will einfach nur, dass es ab Juni funktioniert.

Die Signatur der aktuell genutzten Bootloader ist ein starkes Indiz für eine funktionierende CA 2023 Kette

Code:

mountvol S: /S
bcdedit /enum firmware
(Get-PfxCertificate -FilePath "S:\EFI\Microsoft\Boot\bootmgfw.efi").issuer
(Get-PfxCertificate -FilePath "S:\EFI\Boot\bootx64.efi").issuer
mountvol S: /D

Ein T16 Gen2 mit aktuellem BIOS, Windows Update, kein Benutzereingriff, zeigt aktuell

PS C:\> (Get-PfxCertificate -FilePath "S:\EFI\Microsoft\Boot\bootmgfw.efi").issuer
CN=Windows UEFI CA 2023, O=Microsoft Corporation, C=US
PS C:\> (Get-PfxCertificate -FilePath "S:\EFI\Boot\bootx64.efi").issuer
CN=Windows UEFI CA 2023, O=Microsoft Corporation, C=US

nixlos · 15 Feb. 2026

Mornsgrans schrieb:
Das ist mir alles zu hoch und kompliziert. - Ich will einfach nur, dass es ab Juni funktioniert.

Wie kann ich jetzt feststellen, ob das neue Bootzertifikat installiert ist?

Wie kann ich testen, ob die Zertifikate erneuert wurden?

Dazu noch:
Mit dem Script "Check Windows State.cmd" überprüfen, ob Windows für den Start auch tatsächlich das neue 2023er Zertifikat anwendet.

hth

Edith sagt noch:
Bei (m)einem Dualboot System musste ich dann noch ein
sudo update-grub
sudo grub-install /dev/nvme1xxx
ausführen damit Grub wieder aktiv werden konnte. (Thx an @fakiauso)

Mornsgrans · 15 Feb. 2026

bodu schrieb:
Die Signatur der aktuell genutzten Bootloader ist ein starkes Indiz für eine funktionierende CA 2023 Kette

Demzufolge dürfte mein T14 noch mit dem alten Zertifikat starten:

Code:

PS C:\Users\xxxx> mountvol S: /S
PS C:\Users\xxxx> bcdedit /enum firmware

Start-Manager für Firmware
--------------------------
Bezeichner              {fwbootmgr}
displayorder            {bootmgr}
                        {5ee893d3-168a-11ec-8595-806e6f6e6963}
                        {5ee893d4-168a-11ec-8595-806e6f6e6963}
                        {5ee893d5-168a-11ec-8595-806e6f6e6963}
                        {5ee893d6-168a-11ec-8595-806e6f6e6963}
                        {5ee893d7-168a-11ec-8595-806e6f6e6963}
                        {5ee893d8-168a-11ec-8595-806e6f6e6963}
                        {5ee893e3-168a-11ec-8595-806e6f6e6963}
                        {5ee893e5-168a-11ec-8595-806e6f6e6963}
                        {5ee893e4-168a-11ec-8595-806e6f6e6963}
                        {5ee893e6-168a-11ec-8595-806e6f6e6963}
                        {5ee893e7-168a-11ec-8595-806e6f6e6963}
                        {5ee893e8-168a-11ec-8595-806e6f6e6963}
                        {5ee893e9-168a-11ec-8595-806e6f6e6963}
                        {5ee893e2-168a-11ec-8595-806e6f6e6963}
                        {5ee893ea-168a-11ec-8595-806e6f6e6963}
                        {5ee893dc-168a-11ec-8595-806e6f6e6963}
                        {5ee893dd-168a-11ec-8595-806e6f6e6963}
timeout                 2

Windows-Start-Manager
---------------------
Bezeichner              {bootmgr}
device                  partition=S:
path                    \EFI\Microsoft\Boot\bootmgfw.efi
description             Windows Boot Manager
locale                  de-DE
inherit                 {globalsettings}
default                 {current}
resumeobject            {b1dd9552-bfee-11f0-8751-84a938224021}
displayorder            {current}
toolsdisplayorder       {memdiag}
timeout                 0

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893d3-168a-11ec-8595-806e6f6e6963}
description             Setup

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893d4-168a-11ec-8595-806e6f6e6963}
description             Boot Menu

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893d5-168a-11ec-8595-806e6f6e6963}
description             Diagnostic Splash Screen

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893d6-168a-11ec-8595-806e6f6e6963}
description             Lenovo Diagnostics

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893d7-168a-11ec-8595-806e6f6e6963}
description             Regulatory Information

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893d8-168a-11ec-8595-806e6f6e6963}
description             ThinkShield secure wipe

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893d9-168a-11ec-8595-806e6f6e6963}
description             Startup Interrupt Menu

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893da-168a-11ec-8595-806e6f6e6963}
description             Rescue and Recovery

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893db-168a-11ec-8595-806e6f6e6963}
description             MEBx Hot Key

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893dc-168a-11ec-8595-806e6f6e6963}
description             Other CD

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893dd-168a-11ec-8595-806e6f6e6963}
description             Other HDD

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893de-168a-11ec-8595-806e6f6e6963}
description             USBR BOOT CDROM

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893df-168a-11ec-8595-806e6f6e6963}
description             USBR BOOT Floppy

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893e0-168a-11ec-8595-806e6f6e6963}
description             ATA HDD

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893e1-168a-11ec-8595-806e6f6e6963}
description             ATAPI CD

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893e2-168a-11ec-8595-806e6f6e6963}
description             PXE BOOT

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893e3-168a-11ec-8595-806e6f6e6963}
description             USB CD

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893e4-168a-11ec-8595-806e6f6e6963}
description             USB FDD

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893e5-168a-11ec-8595-806e6f6e6963}
description             NVMe0

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893e6-168a-11ec-8595-806e6f6e6963}
description             NVMe1

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893e7-168a-11ec-8595-806e6f6e6963}
description             ATA HDD0

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893e8-168a-11ec-8595-806e6f6e6963}
description             ATA HDD1

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893e9-168a-11ec-8595-806e6f6e6963}
description             USB HDD

Firmwareanwendung (101fffff)
----------------------------
Bezeichner              {5ee893ea-168a-11ec-8595-806e6f6e6963}
description             LENOVO CLOUD
PS C:\Users\xxxx> (Get-PfxCertificate -FilePath "S:\EFI\Microsoft\Boot\bootmgfw.efi").issuer
CN=Microsoft Windows Production PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US
PS C:\Users\xxxx> (Get-PfxCertificate -FilePath "S:\EFI\Boot\bootx64.efi").issuer
CN=Microsoft Windows Production PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US
PS C:\Users\xxxx> mountvol S: /D

nixlos schrieb:
Wie kann ich testen, ob die Zertifikate erneuert wurden?

Sagte offenbar das Gegenteil aus:

Code:

Checking for Administrator permission...
Running as administrator - continuing execution...

15 Februar 2026
Manufacturer: LENOVO
Model: 20S1S1DJ00
BIOS: LENOVO, N2XET43W (1.33 ), N2XET43W (1.33 ), LENOVO - 1330
Windows version: 25H2 (Build 26200.7623)

Detected x64 UEFI architecture. Ensure that this is correct for valid DBX results.

Secure Boot status: Enabled

Current UEFI PK
√ Lenovo Ltd. PK CA 2012

Default UEFI PK
√ Lenovo Ltd. PK CA 2012

Current UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: False)
X Microsoft Corporation KEK 2K CA 2023                                                                                
√ Lenovo Ltd. KEK CA 2012 (revoked: False)                                                                                                                                                                                                      Default UEFI KEK                                                                                                      
√ Microsoft Corporation KEK CA 2011 (revoked: False)                                                                  
√ Microsoft Corporation KEK 2K CA 2023 (revoked: False)                                                               
√ Lenovo Ltd. KEK CA 2012 (revoked: False)                                                                                                                                                                                                      Current UEFI DB                                                                                                       
√ Microsoft Windows Production PCA 2011 (revoked: False)
√ Microsoft Corporation UEFI CA 2011 (revoked: False)
X Windows UEFI CA 2023
X Microsoft UEFI CA 2023
X Microsoft Option ROM UEFI CA 2023
√ ThinkPad Product CA 2012 (revoked: False)
√ Lenovo UEFI CA 2014 (revoked: False)

Default UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: False)
√ Microsoft Corporation UEFI CA 2011 (revoked: False)
√ Windows UEFI CA 2023 (revoked: False)
√ Microsoft UEFI CA 2023 (revoked: False)
X Microsoft Option ROM UEFI CA 2023
√ ThinkPad Product CA 2012 (revoked: False)
√ Lenovo UEFI CA 2014 (revoked: False)

Current UEFI DBX
2025-10-14 (v1.6.0) [x64]   : SUCCESS: 431 successes detected
Windows Bootmgr SVN         : None
Windows cdboot SVN          : None
Windows wdsmgfw SVN         : None

Drücken Sie eine beliebige Taste . . .

Und was sagt mir die Zeilen mit einem "X" am Anfang?

bodu · 15 Feb. 2026

Mornsgrans schrieb:
Current UEFI KEK
X Microsoft Corporation KEK 2K CA 2023

Current UEFI DB
X Windows UEFI CA 2023

Und was sagt mir die Zeilen mit einem "X" am Anfang?

Die Zeilen sind 'durchgestrichen'.
Weder in der Current (aktiven) KEK noch DB gibt es CA 2023 Einträge.

Einem T16 Gen2 21HJ, T480, T530 wird ein hohes Vertrauen für SecureBootUpdates erteilt.

HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\BucketHash
8590a5c59c62a90e349f02ebe8aa427f44b19b0b7cabf3661b11c9662010a5a1
2a8e55289d667c376e96eeff993a0bf4b86740f2b6dcc8264aab8bf845bd1f03
1f3536d0c88a43d300c6844d5910d4526cfe104a33b4bf4553c1333c9a4a21b3

C:\Windows\System32\SecureBootUpdates\BucketConfidenceData.cab|LENOVO_1.json
"High Confidence": [
"1f3536d0c88a43d300c6844d5910d4526cfe104a33b4bf4553c1333c9a4a21b3",
"2a8e55289d667c376e96eeff993a0bf4b86740f2b6dcc8264aab8bf845bd1f03",
"8590a5c59c62a90e349f02ebe8aa427f44b19b0b7cabf3661b11c9662010a5a1",

Bemkerkenswert ein T530 ist in der BucketConfidenceData.cab enthalten.
Annahme: alle SecureBoot Thinkpadserien wurden auf SecureBootUpdates getestet

Enthält die LENOVO_1.json die T14 BucketHash?

Mornsgrans · 16 Feb. 2026

Ich habe jetzt mal das T14 Gen 1 (Intel) meiner Frau herangezogen:
Laut Lenovo soll für dieses Modell BIOS
N2XET41W (v1.31) das Zertifikat-Update enthalten, installiert ist derzeit Version 1.34.

Es werden keine neuen Bootzertifikate angezeigt:

Auch das Script "Check Windows State.cmd" zeigt bei den 2023-Zertifikaten nur das rote Kreuz.

Checking for Administrator permission...
Running as administrator - continuing execution...

16 Februar 2026
Manufacturer: LENOVO
Model: 20S1S1DJ00
BIOS: LENOVO, N2XET44W (1.34 ), N2XET44W (1.34 ), LENOVO - 1340
Windows version: 25H2 (Build 26200.7840)

Detected x64 UEFI architecture. Ensure that this is correct for valid DBX results.

Secure Boot status: Enabled

Current UEFI PK
√ Lenovo Ltd. PK CA 2012

Default UEFI PK
√ Lenovo Ltd. PK CA 2012

Current UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: False)
X Microsoft Corporation KEK 2K CA 2023 √ Lenovo Ltd. KEK CA 2012 (revoked: False) Default UEFI KEK √ Microsoft Corporation KEK CA 2011 (revoked: False) √ Microsoft Corporation KEK 2K CA 2023 (revoked: False) √ Lenovo Ltd. KEK CA 2012 (revoked: False) Current UEFI DB √ Microsoft Windows Production PCA 2011 (revoked: False)
√ Microsoft Corporation UEFI CA 2011 (revoked: False)
X Windows UEFI CA 2023
X Microsoft UEFI CA 2023
X Microsoft Option ROM UEFI CA 2023
√ ThinkPad Product CA 2012 (revoked: False)
√ Lenovo UEFI CA 2014 (revoked: False)

Default UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: False)
√ Microsoft Corporation UEFI CA 2011 (revoked: False)
√ Windows UEFI CA 2023 (revoked: False)
√ Microsoft UEFI CA 2023 (revoked: False)
X Microsoft Option ROM UEFI CA 2023
√ ThinkPad Product CA 2012 (revoked: False)
√ Lenovo UEFI CA 2014 (revoked: False)

Current UEFI DBX
2025-10-14 (v1.6.0) [x64] : SUCCESS: 431 successes detected
Windows Bootmgr SVN : None
Windows cdboot SVN : None
Windows wdsmgfw SVN : None

Drücken Sie eine beliebige Taste . . .

Anschließend den Abschnitt aus der Lenovo Anleitung abgearbeitet:

Nach der Anwendung des Lenovo BIOS-Updates für die Zertifikate von 2023:

Bitte beachten Sie, dass diese Maßnahmen ein BitLocker-Wiederherstellungsszenario verursachen können, und stellen Sie sicher, dass der BitLocker-Wiederherstellungsschlüssel verfügbar ist, wenn BitLocker aktiviert ist.

Für weitere Informationen zu Ihrem BitLocker-Wiederherstellungsschlüssel lesen Sie bitte diesen Microsoft-Supportartikel: Finden Sie Ihren BitLocker-Wiederherstellungsschlüssel

Führen Sie den Befehl "Auf Werkseinstellungen zurücksetzen" in der BIOS-Konfiguration aus

Führen Sie den Befehl "Werksschlüssel wiederherstellen" im Secure Boot-Menü der BIOS-Konfiguration aus

Anschließend werden von vor Reboot die neuen Zertifikate angezeigt:

Windows scheint davon aber nur wenig mitzubekommen:

Checking for Administrator permission...
Running as administrator - continuing execution...

16 Februar 2026
Manufacturer: LENOVO
Model: 20S1S1DJ00
BIOS: LENOVO, N2XET44W (1.34 ), N2XET44W (1.34 ), LENOVO - 1340
Windows version: 25H2 (Build 26200.7840)

Detected x64 UEFI architecture. Ensure that this is correct for valid DBX results.

Secure Boot status: Enabled

Current UEFI PK
√ Lenovo Ltd. PK CA 2012

Default UEFI PK
√ Lenovo Ltd. PK CA 2012

Current UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: False)
√ Microsoft Corporation KEK 2K CA 2023 (revoked: False) √ Lenovo Ltd. KEK CA 2012 (revoked: False) Default UEFI KEK √ Microsoft Corporation KEK CA 2011 (revoked: False) √ Microsoft Corporation KEK 2K CA 2023 (revoked: False) √ Lenovo Ltd. KEK CA 2012 (revoked: False) Current UEFI DB √ Microsoft Windows Production PCA 2011 (revoked: False)
√ Microsoft Corporation UEFI CA 2011 (revoked: False)
√ Windows UEFI CA 2023 (revoked: False)
√ Microsoft UEFI CA 2023 (revoked: False)
X Microsoft Option ROM UEFI CA 2023
√ ThinkPad Product CA 2012 (revoked: False)
√ Lenovo UEFI CA 2014 (revoked: False)

Default UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: False)
√ Microsoft Corporation UEFI CA 2011 (revoked: False)
√ Windows UEFI CA 2023 (revoked: False)
√ Microsoft UEFI CA 2023 (revoked: False)
X Microsoft Option ROM UEFI CA 2023
√ ThinkPad Product CA 2012 (revoked: False)
√ Lenovo UEFI CA 2014 (revoked: False)

Current UEFI DBX
2025-10-14 (v1.6.0) [x64] : FAIL: 1 failures, 430 successes detected
Windows Bootmgr SVN : None
Windows cdboot SVN : None
Windows wdsmgfw SVN : None

Drücken Sie eine beliebige Taste . . .

Ich fürchte, das dürfte so manchen Heimanwender überfordern, wenn man manuell im BIOS eingreifen muss.

Zusatzinfo:
Laut diesem Thread im Lenovo-Forum läuft diese Zertifikat-Update-Aktion unter "CVE-2023-24932"

Ich habe einige BIOS-Updates aus dieser Liste stichprobenartig überprüft und bin in der "Version History" der READMEs unter den in der Liste angegebenen BIOS-Versionen über die Zeile

- [Important] Enhancement to address security vulnerability,..., CVE-2023-24932

gestolpert - bei einigen Modellen gab es sogar mehrere BIOS-Versionen mit dieser CVE-Nummer (z.B. T16 Gen 1)

nixlos · 16 Feb. 2026

Hier T480 mit den SVN

Mornsgrans · 16 Feb. 2026

Ich habe mal Versucht, die Ergüsse dieses Threads im Wiki zusammenzufassen:
Ablauf der Secure Boot Zertifikate Juni 2026 und Maßnahmen zur Erneuerung
(Auf Wiki-Startseite unter "Modellübergreifende Themen" verlinkt)

Neue Secure Boot Zertifikate Lenovo sagt JA ?

New member

Active member

Help-Desk

Rather active member

Ubuntuversteher

Linux Beitrag im Thema 'Thinkpad T14 Gen 3 AMD (Type 21CF, 21CG) Secure Boot-Zertifikate fehlen'

Rather active member

Active member

Member

New member

Linux Beitrag im Thema 'Thinkpad T14 Gen 3 AMD (Type 21CF, 21CG) Secure Boot-Zertifikate fehlen'

Active member

Help-Desk

Active member

Help-Desk

Active member

Member

Help-Desk

Active member

Help-Desk

Member

Anhänge

Help-Desk

Werbung

Wir schützen deine Privatsphäre